COPY指令默认使文件归属root:root，需配合--chown（如--chown=1001:1001）在复制时设定非root属主，并结合USER指令以最小权限运行，同时严格限定路径在构建上下文内，多阶段构建仅复制必需产物，实现安全复制。
COPY 指令本身不带“安全”属性，但通过合理搭配路径控制、权限设置和用户隔离，就能实现安全复制。核心不是避免复制，而是确保复制后的文件归属明确、权限最小化、不依赖 root 运行。
路径必须严格限定在构建上下文内
宿主机上能被 COPY 访问的文件，仅限于执行 docker build -f Dockerfile . 时那个 . 所指目录及其子目录。超出这个范围的文件（比如 /etc/hosts 或 ../secrets.json）根本无法访问，这是天然的第一道隔离屏障。
- 推荐做法：把要复制的文件统一放在项目根目录下（如
./src、./config），Dockerfile 中用相对路径引用 - 避免写绝对路径源地址（如
COPY /home/user/app.js /app/），这会直接导致构建失败 - 通配符需谨慎，
COPY *.env /app/可能意外包含敏感文件，建议显式列出或提前清理
用 --chown 提前设定非 root 所有权
默认所有复制文件都归 root:root，而运行时若切换到普通用户（如 USER node），就会因权限不足读不到配置或写不了日志。用 --chown 在复制时就定好归属，省去后续 RUN chown 的额外层，也避免镜像里残留 root 权限文件。
- 格式为
COPY --chown=uid:gid src dest或COPY --chown=user:group src dest - 优先用 UID/GID（如
--chown=1001:1001），比用户名更稳定，不依赖基础镜像是否预装该用户 - 若用用户名（如
nginx），必须先用RUN useradd -r nginx创建，否则构建报错 - 示例：
COPY --chown=1001:1001 ./config/nginx.conf /etc/nginx/conf.d/default.conf
配合 USER 指令限制运行时权限
COPY 只管“放进去”，真正安全靠的是容器启动后以谁的身份运行。即使文件属主设对了，如果没切用户，进程仍以 root 跑，失去最小权限原则。
- 在 COPY 后、CMD 前加上
USER 1001或USER appuser - 确保目标目录（如
/app）对这个用户可读可写，必要时RUN mkdir -p /app && chown 1001:1001 /app - 不要在
USER后再用RUN执行需要 root 的操作（如装包），应前置处理
多阶段构建中只复制必需产物
安全不只是权限问题，更是攻击面控制。把编译工具链、测试文件、源码全塞进最终镜像，等于给攻击者递工具箱。
- 第一阶段用
FROM golang:alpine AS builder编译二进制 - 第二阶段用
FROM alpine:latest，只COPY --from=builder /app/myapp /usr/bin/myapp - 最终镜像里只有可执行文件和极简运行时依赖，没有 shell、编译器、源码
